Security Consultant

Was macht ein Security Consultant?

Er verkauft Arbeitszeit an Häuser, die eine Aufgabe selbst nicht bewältigen. Die Aufträge zerfallen in wenige Typen. Aufbau: ein Managementsystem nach ISO 27001 oder IT-Grundschutz einrichten und bis zur Zertifizierung führen. Prüfung: eine Architektur, eine Cloud-Umgebung oder ein Berechtigungswesen bewerten und Befunde berichten. Umsetzung: ein Produkt einführen, ein Rollenmodell bauen, eine Segmentierung planen. Und Vorfallarbeit: untersuchen, was passiert ist, und aufräumen.

Der Alltag ist dabei anders, als der Begriff vermuten lässt. Ein erheblicher Teil der Zeit geht in Angebote, Berichte, Abstimmungstermine und Dokumentation. Die Stunden werden gezählt, und die Auslastung – der Anteil fakturierbarer Tage – bestimmt den Takt stärker als jedes einzelne Projekt. In Häusern mit Prüfauftrag kommt die Trennung von Beratung und Prüfung dazu: Wer prüft, darf nicht zugleich umsetzen, was er bewertet.

Wie wird man Security Consultant?

Auf zwei Wegen. Der eine führt über ein Einstiegsprogramm direkt nach dem Studium: Informatik, Wirtschaftsinformatik, IT-Sicherheit, teils auch Betriebswirtschaft mit IT-Schwerpunkt. Dort läuft man Jahre in Projekten mit und lernt an fremden Häusern. Der andere kommt aus der Praxis und ist der stärkere: Wer selbst ein ISMS betrieben, ein SOC aufgebaut oder eine Umgebung administriert hat, bringt mit, was einem Berater aus dem Lehrbuch fehlt.

Die Zertifikate sind hier Eintrittskarten und werden von den Häusern oft bezahlt. Für die Prüfseite CISA und Auditorenqualifikationen nach ISO 27001, für die Steuerungsseite CISM, für die technische Breite CISSP – alle drei mit mehrjährigem Erfahrungsnachweis. Für technische Beratung zählen plattformbezogene Nachweise der Hersteller, für offensive Prüfungen das OSCP. In der Automobilzulieferkette ist TISAX-Kenntnis gefragt, in der Finanzwirtschaft DORA.

Was der Beruf verlangt

Reisebereitschaft, auch wenn viele Häuser inzwischen überwiegend aus der Ferne arbeiten, und die Fähigkeit, sich in fremde Organisationen schnell einzufinden. Sie arbeiten mit Menschen, die Sie nicht ausgewählt haben, in Abläufen, die Sie nicht kennen, unter einem Budget, das jemand anders zugesagt hat.

Der ehrlichste Hinweis zu diesem Beruf ist, dass Sie Empfehlungen schreiben, deren Umsetzung Sie selten erleben. Wer sehen will, dass etwas dauerhaft besser wird, ist in einer Festanstellung auf Dauer zufriedener. Wer Abwechslung und Tempo sucht, sieht in zwei Jahren mehr Häuser als ein Angestellter in zwanzig – und das ist die beste Schule, die dieses Feld zu bieten hat. Dazu kommen Phasen mit deutlich mehr als vierzig Stunden, wenn ein Abgabetermin oder eine Zertifizierung ansteht.

Aussichten

Die Nachfrage ist hoch, weil der Mittelstand Pflichten erfüllen muss, für die er kein eigenes Personal hat. NIS2 erweitert den Kreis dieser Unternehmen erheblich, DORA bindet die Finanzwirtschaft, TISAX die Fahrzeugzulieferer – und jede dieser Anforderungen erzeugt Beratungsbedarf. Die Fluktuation ist hoch: Viele wechseln nach einigen Jahren auf die Seite der Auftraggeber, und die Beratungserfahrung ist dort ein starkes Eintrittsbillett. Weiterwege führen in die Leitung von Beratungseinheiten, in die Partnerschaft oder in interne Führungsrollen.